Компания Foundation, разрабатывающая аппаратные Bitcoin-кошельки Passport, сообщила о фишинговой рассылке, которая велась с её официальных доменов. По данным компании, злоумышленники получили доступ к одному или нескольким API-ключам Cloudflare, что позволило им отправлять поддельные письма от имени Foundation.
Заявление было опубликовано 25 октября в 23:47 по восточному времени США. Компания уточнила, что все API-ключи уже отозваны, а вредоносный домен, использовавшийся в спам-рассылке, заблокирован. «Средства, хранящиеся на Passport, в безопасности, а само оборудование Passport не скомпрометировано», — подчеркнули в Foundation. Полный отчёт о произошедшем компания пообещала опубликовать «как можно скорее».
Получатели писем сообщили, что в сообщениях содержались реальные персональные данные: имена, адреса доставки и сведения о прошлых покупках. Один из пользователей отметил, что письмо прошло через спам-фильтры и касалось заказа, оформленного в середине 2025 года. Другой получатель подтвердил наличие в письме своего имени, адреса и электронной почты. Пользователь под псевдонимом @crisisdot рассказал, что получил сообщение с адреса hello@foundation.xyz, в котором утверждалось, что средства на его Passport находятся под угрозой, и предлагалось перейти на новую фразу восстановления. Также был обнаружен действующий сайт incident.foundation.xyz.
Масштаб инцидента может выходить за пределы клиентской базы: по информации Odaily, фишинговое письмо получил и бывший соискатель вакансии, что указывает на возможную компрометацию данных тех, кто контактировал с компанией по любым каналам. Foundation пока не подтвердила, был ли осуществлён доступ к данным заказов, и не объяснила, откуда отправители получили личные сведения получателей.
В руководстве по настройке Passport Core указано, что устройство работает офлайн и используется для хранения ключей и подписания транзакций, а компания никогда не запрашивает seed-фразы или PIN-коды устройств. Аналогичное предупреждение содержится и в политике конфиденциальности Foundation.
Это не первый подобный инцидент в отрасли: в сентябре производитель аппаратных кошельков Trezor предупреждал пользователей о фальшивом «критическом оповещении безопасности», разосланном через стороннего поставщика email-услуг. Тогда одна из писем прошло проверки DKIM, SPF и DMARC. Ранее из-за утечки у логистического партнёра ShipMonk были раскрыты данные примерно 80 700 пользователей Trezor, включая имена, адреса, телефоны и сведения о заказах.
